Kreedl - Договор за обработване на лични данни

„Лични данни“, „администратор“, „обработващ лични данни“, „обработване“, „субект на данните“, „нарушение на сигурността на личните данни“ и „надзорен орган“ имат значението, определено в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО („ОРЗД“). „Лични данни на Клиента“ означава лични данни, които Клиентът предоставя на Kreedl или прави достъпни за него, или които Kreedl събира от името на Клиента при предоставянето на услугите, включително съдържанието на комуникацията, записите и преписите, независимо дали данните идентифицират Клиента или трето лице, което встъпва в договорно отношение с Клиента. „Подобработващ“ означава всяко трето лице, ангажирано от Kreedl за обработване на Лични данни на Клиента. „UK GDPR“ означава ОРЗД във вида, в който е запазен в правото на Обединеното кралство.

Клиентът е администратор на Личните данни на Клиента. Kreedl е обработващ лични данни по отношение на тези данни. Kreedl е самостоятелен администратор само по отношение на собствените данни на Клиента за акаунта, фактурирането, използването и маркетинга, или когато трето лице използва услугите на Kreedl, без да е встъпило в договорно отношение с Клиента. Дейностите са описани по-подробно в документа на Kreedl, озаглавен Политика за поверителност, достъпен на kreedl.com/bg/privacy („Политиката за поверителност“).

Предмет и цел. Работа на AI асистент, който комуникира от името на Клиента с наематели, обитатели, ползватели на обекти, кандидати, доставчици и други лица по телефон, WhatsApp, SMS и имейл и извършва действията, които Клиентът е разрешил.

Естество на обработването. Получаване, записване, транскрибиране, съхраняване, анализиране и обобщаване на комуникацията; четене или съхраняване на записите на Клиента според избрания режим (раздел 4); насрочване на срещи; изпращане на доставчици; и, когато това е възложено, класиране на кандидати или обобщаване на публично достъпна информация за кандидати за наем.

Категории субекти на данни. Наематели, обитатели, кандидати за наем или купувачи, управители на магазини и ползватели на обекти, доставчици и техници, служители и представители на Клиента, както и всяко друго лице, което се свързва със сграда, обслужвана от Kreedl.

Видове лични данни. Име, данни за контакт, сграда и обект, срок и условия на наема, размер на наема и статус на плащанията, документи по договора за наем, сигнали за повреди, снимки, гласови съобщения, записи на разговори, преписи, съдържание на съобщения и метаданни. За кандидати за наем или купувачи - допълнително очакваната дата на нанасяне, броят на членовете на домакинството, заетостта, доходът, начинът на финансиране и препоръките, когато Клиентът ги изисква за оценка на кандидатурата. Когато Клиентът възложи проверка на самоличността, последните четири цифри от чешкия единен граждански номер могат да бъдат сравнени със записите на Клиента; пълният номер не се съхранява. Kreedl не обработва кодове за врати или други данни за физически достъп.

Продължителност. Личните данни се обработват за срока на поръчаната услуга и след това до приключване на връщането и изтриването съгласно раздел 12. Страните определят сроковете за съхранение на данните така, че да отразяват присъщото естество на предоставяната услуга. По-специално, но не само, сроковете за съхранение отчитат прекратяването на наемните отношения между Клиента и трети лица, защитата на легитимните интереси на администратора във връзка с неговото имущество и задължителните срокове за съхранение, установени от общоприложимото законодателство.

4.1 Клиентът избира един от трите режима, описани в Политиката за поверителност. Режим A - без достъп до записите на Клиента. Режим B - достъп за четене до системите на Клиента без съхраняване на записи. Режим C - записите на Клиента се съхраняват от Kreedl. Във всеки режим Kreedl съхранява съдържанието на комуникацията, записите, преписите и данните за контакт на лицата, които комуникират с него.

4.2 Документираните указания на Клиента се състоят от избрания режим, конфигурацията, договорена при въвеждането в работа, настройките, които Клиентът прави в приложението Kreedl, данните, които Клиентът качва или прави достъпни, както и всяко писмено указание, изпратено на [email protected]. Качването на данни, активирането на абонамент, създаването на профил или предоставянето на данни на Kreedl по друг начин представлява указание на Клиента за обработване на тези данни за целите по раздел 3.

4.3 Клиентът може по всяко време да промени режима или своите указания по имейл, в приложението или с действия, от които промяната ясно личи. Kreedl въвежда промените в рамките на 14 дни.

4.4 Kreedl може да откаже да изпълни указание, което според неговото разумно мнение нарушава ОРЗД или друг закон, като уведомява Клиента за това. Kreedl може също да обработва Лични данни на Клиента, когато това се изисква от правото на ЕС или на държава членка; в такъв случай той уведомява Клиента, освен ако законът не забранява това.

Клиентът декларира и се задължава, че -

• има и надлежно определя валидно правно основание за всички Лични данни на Клиента, които получава и предава на Kreedl, и за всяка комуникация, която възлага на Kreedl да инициира. Клиентът носи изключителна отговорност за всяка липса на правно основание за предоставянето или предаването на данните;
• изпълнява задължението за информиране на субектите на данни съгласно членове 12, 13 и 14 от ОРЗД, включително като публикува информацията за обаждащите се, съдържаща се в Част А на Условията за съответствие на Kreedl, и носи това задължение сам, независимо дали Kreedl публикува информация за съответната дейност в своята Политика за поверителност. Това не засяга задължението на Kreedl за информиране в качеството му на самостоятелен администратор;
• когато възлага на Kreedl да събира публично достъпна информация за кандидати за наем, информира тези лица за източника на данните най-късно при първия контакт;
• когато предоставя чешки единни граждански номера, спазва § 13c от чешкия Закон № 133/2000 Сб.;
• отговаря за определените от него граници на автономност и за обработването на ескалациите;
• приема технически мерки и мерки по прилагането, които осигуряват възможно най-висока защита на личните данни на субектите на данни, и носи изключителна отговорност за тях, освен ако данните не се съхраняват на устройство или в база данни, които се държат или управляват изключително от Kreedl;
• указанията му са в съответствие със закона. Клиентът носи изключителна отговорност за законосъобразността на своите указания и за всички санкции, свързани с неспазването им. Ако някоя от страните стигне до заключението, че изпълнението на указание на Клиента може да зависи от оценка на въздействието върху защитата на данните („ОВЗД“), изпълнението на указанието се отлага, докато неговата законосъобразност не бъде потвърдена въз основа на ОВЗД, чиито разходи се поемат от Клиента. Kreedl обаче не е длъжен активно да преглежда или по друг начин да проверява законосъобразността на указанията на Клиента.

Kreedl -

• обработва Личните данни на Клиента единствено по документираните указания на Клиента и само за целите по раздел 3;
• гарантира, че лицата, оправомощени да обработват Лични данни на Клиента, са обвързани със споразумения за опазване на тайна и поверителност, когато Kreedl ги е оправомощил да извършват обработването;
• прилага техническите и организационните мерки по Приложение 1;
• не използва Лични данни на Клиента за обучение или донастройване на какъвто и да е AI модел;
• съдейства на Клиента при искания на субекти на данни (раздел 9), по отношение на сигурността, уведомяването за нарушения и оценките на въздействието върху защитата на данните (раздел 10), като отчита естеството на обработването;
• изтрива или връща Личните данни на Клиента в съответствие с раздел 12;
• предоставя информацията, необходима за доказване на съответствието с член 28 от ОРЗД, и позволява извършването на одити в съответствие с раздел 11;
• съхранява данните, предоставени от Клиента, отделно от данните, които обработва като самостоятелен администратор;
• приема технически мерки и мерки по прилагането, които осигуряват възможно най-висока защита на личните данни на субектите на данни, когато данните се съхраняват на устройство или в база данни, които се държат или управляват изключително от Kreedl.

7.1 Клиентът дава на Kreedl общо разрешение за ангажиране на подобработващи. Актуалният списък се намира в раздел 7 от Политиката за поверителност на kreedl.com/bg/privacy.

7.2 Kreedl уведомява Клиента за добавянето или замяната на подобработващ по имейл най-малко 14 дни преди промяната да влезе в сила.

7.3 Ако Клиентът възрази в срок от 14 дни от уведомлението по разумни съображения, свързани със защитата на данните, Kreedl може да предложи алтернатива. Ако не бъде постигнато съгласие, единственото средство за защита на Клиента е да прекрати засегнатите услуги с писмено уведомление, без неустойка за прекратената част, считано от датата, на която промяната на подобработващия влиза в сила. Kreedl не е длъжен да смени подобработващия.

7.4 Kreedl налага на всеки подобработващ задължения за защита на данните, които не са по-малко строги от тези в настоящия ДОЛД, и остава отговорен за тяхното изпълнение.

7.5 Когато Kreedl ангажира нов подобработващ, Kreedl отговаря за посочването на самоличността на новия подобработващ в Политиката за поверителност и за уведомяването на Клиента съгласно точка 7.2, така че Клиентът да може да изпълни задължението си за информиране съгласно раздел 5.

Kreedl съхранява Личните данни на Клиента в Европейския съюз. AI обработването и телефонията могат да включват доставчици извън ЕИП или Обединеното кралство. За всяко такова предаване Kreedl разчита на стандартните договорни клаузи на ЕС, на решение относно адекватното ниво на защита (включително Рамката за защита на данните между ЕС и САЩ, когато доставчикът е сертифициран) или, за данни от Обединеното кралство, на Допълнението на Обединеното кралство за международно предаване на данни (UK International Data Transfer Addendum). Kreedl предлага конфигурация с обработване само в ЕС при писмено искане; отправянето на такова искане е отговорност на Клиента. Клиентът упълномощава Kreedl да сключва от негово име стандартните договорни клаузи с подобработващите. Допълнението на Обединеното кралство е достъпно при поискване.

Когато Kreedl получи искане от субект на данни относно Лични данни на Клиента, той го препраща на Клиента в рамките на 3 работни дни и не отговаря по същество без указание. Kreedl оказва разумно съдействие, така че Клиентът да може да отговори в законовите срокове. Съдействието над пет искания месечно или изискващо повече от разумни усилия се заплаща по действащата часова ставка на Kreedl.

10.1 Kreedl уведомява Клиента за нарушение на сигурността на Личните данни на Клиента без ненужно забавяне и не по-късно от 48 часа, след като е узнал за него. Първоначалното уведомление съдържа информацията, известна към този момент. Страните си оказват взаимно съдействието, необходимо съгласно членове 33 и 34 от ОРЗД, за отстраняване на рисковете, последиците от нарушението и глобите от надзорния орган, както и за успешното разследване на нарушението.

10.2 Уведомяването на надзорния орган и на субектите на данни е отговорност на страната, която управлява базата данни или устройството, в които е настъпило нарушението на сигурността на личните данни.

10.3 Когато Клиентът трябва да извърши ОВЗД, Kreedl му предоставя описание на обработването, мерките по Приложение 1 и разумна допълнителна информация, строго необходима за изготвянето на ОВЗД. Оценката се изготвя, одобрява и притежава от Клиента. Клиентът поема разходите за изготвянето на ОВЗД.

10.4 Независимо от одобрението на Клиента по точка 10.3, Kreedl не е длъжен да изпълни указание на Клиента, когато въпреки наличието на ОВЗД Kreedl има основателни причини да подозира, че указанието е незаконосъобразно, че принципът на свеждане на данните до минимум не е бил достатъчно отчетен при изготвянето на ОВЗД или че качеството и легитимността на оценката са недостатъчни.

Веднъж в календарна година, с писмено предизвестие от 30 дни, Клиентът може да поиска попълнения въпросник за сигурност на Kreedl, копие от Приложение 1 и наличната документация, доказваща съответствието с настоящия ДОЛД. Проверка на място се извършва само на място и във време, когато това се изисква от надзорен орган или от закона, при спазване на поверителността, без достъп до данни на други Клиенти и за сметка на Клиента. Kreedl не е сертифициран по ISO 27001 или SOC 2, не гарантира, че вътрешните проверки се извършват в съответствие с такова сертифициране, и Клиентът приема това.

12.1 При прекратяване на договора с Клиента, както и по всяко време при писмено искане, Kreedl експортира Личните данни на Клиента в структуриран, машинночетим формат (JSON; аудиофайлове за записите) и изтрива Личните данни на Клиента в рамките на 30 дни от прекратяването. Криптираните резервни копия се заличават в рамките на 90 дни. При поискване Kreedl потвърждава изтриването писмено. Kreedl може да запази данни, когато това се изисква от закона, и само за тази цел.

12.2 Когато правното основание, на което Клиентът държи данни на трето лице във връзка с това трето лице, отпадне, Клиентът уведомява Kreedl и носи изключителна отговорност за предоставянето на тази информация. Kreedl извършва изтриването в съответствие със сроковете за съхранение на личните данни, освен ако Клиентът не настоява записът да бъде запазен поради някой от неговите легитимни интереси, в който случай Клиентът обосновава легитимния интерес. Клиентът отговаря за всички административни или други санкции, произтичащи от неуведомяването на Kreedl за отпадането на правното основание или от нелегитимността на интереса му, когато този интерес е основанието за удължаване на съхранението на данните.

13.1 В най-пълната степен, допустима от закона, общата отговорност на Kreedl, произтичаща от или във връзка с настоящия ДОЛД, включително за административни глоби или претенции на субекти на данни, е ограничена до сумата, платена от Клиента през дванадесетте месеца, предхождащи събитието, породило претенцията, и Kreedl не носи отговорност за косвени или последващи вреди, пропуснати ползи, загуба на данни или увреждане на репутацията.

13.2 Kreedl няма задължение да обезщетява Клиента.

13.3 Клиентът обезщетява Kreedl по отношение на всяка претенция, глоба, вреда или разход (включително разумни разноски за правна защита, както и в случая, когато поради поведение, което по никакъв начин не може да се вмени на Kreedl, Kreedl претърпи вреда или бъде задължен да заплати претенция или глоба по точка 13.1 над ограничението на отговорността по точка 13.1), произтичащи от нарушение от страна на Клиента на настоящия ДОЛД или на ОРЗД, от указание на Клиента, от данни, предоставени без правно основание или без изискваната информация до субектите на данни, когато настоящият ДОЛД изрично предвижда това, или от избраните от Клиента настройки на автономността.

Настоящият ДОЛД остава в сила и след прекратяването на договора с Клиента до погасяването по давност съгласно чешкото право на последната възможна претенция, пряко или косвено свързана с правата и задълженията по настоящия ДОЛД. ДОЛД се урежда от правото на Чешката република, а споровете, произтичащи единствено от настоящия ДОЛД, се решават от компетентните съдилища в Прага. Той се публикува на английски и чешки език; предимство има английската версия, освен ако договорът с Клиента не предвижда друго. Тази българска версия е информативен превод. Kreedl може едностранно да актуализира настоящия ДОЛД с уведомление до Клиентите по имейл 14 дни предварително; продължаването на използването след датата на влизане в сила означава приемане.

Криптиране. Личните данни на Клиента се криптират при съхранение (AES-256 или равностойно) и при пренос (TLS 1.2 или по-висока версия). Записите на разговори и файловете се съхраняват в криптирано обектно хранилище.

Контрол на достъпа. Достъп, основан на роли. Достъп имат само служителите на Kreedl, които се нуждаят от него за работата на услугата. Многофакторното удостоверяване е задължително за всички служители на Kreedl и за всеки административен достъп до инфраструктурата. Достъпът се преразглежда при промени в персонала и най-малко веднъж на тримесечие.

Регистриране и възможност за одит. Всяко действие на AI асистента и всеки достъп на служител до Лични данни на Клиента се регистрират с час и самоличност. Регистрационните файлове се съхраняват 12 месеца и Клиентът има достъп до тях по отношение на собствените си данни.

Управление на тайни. Идентификационните данни за достъп до доставчиците и API ключовете се съхраняват в система за управление на тайни, никога в кода, не се показват на потребителите и се сменят, когато служител напусне или има съмнение за компрометиране.

Разделяне на Клиентите. Данните на всеки Клиент са логически разделени. Нито един Клиент няма достъп до данните на друг.

Резервни копия. Криптирани резервни копия най-малко ежедневно, съхранявани 90 дни, с тест за възстановяване най-малко веднъж годишно.

Доставчици на AI модели. На доставчиците на модели е договорно забранено да използват Лични данни на Клиента за обучение. Kreedl не обучава и не донастройва модели с Лични данни на Клиента.

Персонал. Всички служители и изпълнители подписват споразумения за опазване на тайна и поверителност и преминават обучение по защита на данните, преди да им бъде предоставен достъп. Достъпът се отнема в деня на напускането.

Реагиране при инциденти. Документирана процедура с отговорно лице, уведомяване на Клиента в рамките на 48 часа и преглед след инцидента.

Физическа сигурност. Инфраструктурата се хоства при доставчиците, посочени в Политиката за поверителност, които експлоатират сертифицирани центрове за данни (ISO 27001 / SOC 2 на ниво доставчик). Kreedl не експлоатира собствени центрове за данни.

Изтриване. Автоматични правила за съхранение изтриват данните от комуникацията след 12 месеца или в друг срок, определен от Клиента съгласно раздел 3 и точка 12.2. Изтриване при прекратяване в рамките на 30 дни, на резервните копия - в рамките на 90 дни.